要約
ソーシャルエンジニアリングは、技術的な脆弱性ではなく人間の心理を悪用するもので、フィッシング、ビッシング、ベイティング、プリテキスティングなどの手口で人々を騙し、機密情報を引き出します。攻撃者は、被害者を操るために「権威」「威圧」「希少性」「緊急性」「コンセンサス」「親近感」という6つの基本原則を悪用します。こうした攻撃から身を守るには、サイバーセキュリティ意識向上トレーニング、迷惑メールなどへの健全な懐疑心、多要素認証（MFA）などの強力な認証の導入、攻撃が疑われる場合の迅速な報告が必要です。
ソーシャルエンジニアリングとは何ですか？
情報セキュリティの文脈においてソーシャルエンジニアリングとは、人間の行動や社会的スキルを利用して人を巧みに操り、機密情報を漏洩させることです。攻撃者は、知人や信頼できる組織になりすまして個人情報を開示させようとすることがよくあります。そして、その情報を利用してアカウントにアクセスしたり、金銭を盗んだり、サービスを妨害したりします。サイバー攻撃のほぼすべて（98％）でソーシャルエンジニアリングが使用されています。
ソーシャルエンジニアリングでは、悪意のある者がパスワード、銀行口座の詳細、社会保障番号、その他の個人情報（PII）などの個人情報を開示するように人を騙します。攻撃者は多くの場合、信頼できる団体、既知の人物、または立派な関係者を装います。彼らは、標的とする質問をして、被害者をだましてこの情報を渡させようとする場合があります。
ソーシャルエンジニアリングによる攻撃は、経済的損失やサービスの中断から、評判の失墜などに至るまで、壊滅的な結果をもたらす可能性があります。潜在的な攻撃から身を守るために、ソーシャルエンジニアリングがどのように機能するかを理解することが重要です。
なぜ人的要素が最も脆弱なのでしょうか？
サイバーセキュリティにおける脆弱な点は、人的要素です。攻撃者は、サイバー攻撃を実行するために必要な情報を収集するために、信頼するという人間の本能を利用します。ソーシャルエンジニアリングの手口は、電子メール、電話、テキストメッセージ、悪意のあるウェブサイト、P2Pサイト、またはソーシャルネットワーキングサイトを通じて開始される可能性があります。
ソーシャルエンジニアリング攻撃では、脅威アクターは情報を収集するために質問をすることがよくあります。彼らは丁寧で控えめに見えるかもしれませんが、適切な質問をし、十分な情報を得ると、これを利用してアカウントにアクセスしたり、コンピューターや組織を危険にさらしたりする可能性があります。ソーシャルエンジニアリングスキームには、不正な申し出を誘い込んだり、それに応じたりすることも含まれます。
ソーシャルエンジニアリング攻撃の6つの原則とは何ですか？
ソーシャルエンジニアリングは、コンピューターやデバイスに直接攻撃するのではなく、人間の心理を標的とし、潜在的な弱点を探します。ソーシャルエンジニアリングとは、説得の心理を利用した詐欺の一種です。脅威アクターは、個人を操って個人情報を開示させ、その情報を利用して安全なリソースへのアクセスを得ようとします。
ソーシャルエンジニアリングは、以下の6つの主要な原則に依存しています。
- 権限：攻撃者は、権威者のように装い、被害者に認証情報を開示させたり、策略に従わせたりすることができます。たとえば、上司が何かのためにあなたの個人情報を求めているように見える場合、あなたはそれを明らかにする傾向が強くなるでしょう。
- 脅迫：悪意のある攻撃者は、脅しや巧妙な脅迫戦術を使い、被害者にそのように行動するよう説得することがよくあります。これには、通信の傍受、操作、および上司や友人に公開すると脅して不信感を煽ることが含まれます。
- 希少性：これは、需要と供給の概念を利用したものです。製品に対する需要が高く、供給が少ないほど、人はそれをより欲しがる可能性が高くなります。ソーシャルエンジニアリングは、緊急性を生み出すような数量限定のものを宣伝する悪意のあるリンクをWebサイトに投稿することがあります。被害者が悪質なリンクをクリックし、自分の情報を入力すると、攻撃者はそれを盗み取ります。
- 緊急性：希少性と同様に、「期間限定」という策略を用いることは、時間に基づいた心理的操作の一形態です。これにより、迅速に行動しなければ機会を逃すリスクがあると個人に思わせることができます。
- コンセンサス：社会的証明の一形態として、人々は他の人が行っていることを見るとき、それらに参加する可能性が高くなります。これは、脅威アクターが、被害者の同僚もある特定のスキームに参加していると信じ込ませることができれば、成功する可能性が高くなることを意味します。脅威アクターは、人々を説得して購入させるために、サービスまたは製品の偽のレビューを設定できます。
- 親近感：人は、好感や尊敬を抱いている相手から何かを勧められたり、購入したりする際に、より説得されやすいという人間心理があります。攻撃者はこれを悪用する可能性があり、ソーシャルエンジニアリングのスキームは、被害者にとって既知または尊敬されているソースから発信されているように見えることがよくあります。
ソーシャルエンジニアリング攻撃の最も一般的な種類とは何ですか？
ソーシャルエンジニアリング攻撃には、さまざまな種類があります。以下は、最も一般的なものです。
| 攻撃の種類 | SCIM の仕組み |
|---|---|
| フィッシング | この形態のソーシャルエンジニアリング攻撃では、不正なeメールを送信したり、悪意のあるWebサイトを作成したりして、個人を騙してプライベートな認証情報を公開させようとします。フィッシング攻撃は増加の一途をたどっており、最も一般的なサイバー攻撃ベクトルの1つです。2021年12月だけでも30万件を超えるフィッシング攻撃が発生しました。フィッシング攻撃は、一般的に信頼できる正規の送信元から送られてくるように見せかけ、ユーザーに添付ファイルをダウンロードさせたり、埋め込まれたリンクをクリックしてシステムにログインさせたりすることで、ユーザーが気づかないうちに認証情報を攻撃者に漏洩させてしまうものです。これは多くの場合eメールの形式で送られてきて、普段利用している信頼できる企業から送られてきたように見えることがあります。金融機関は一般的な標的であり、攻撃者は銀行やクレジットカード会社を装った不正なeメールを送信します。アカウントへのログインを頻繁に求められます。フィッシング詐欺は、新型コロナウイルス感染症のパンデミック、人道支援活動、祝日、選挙、経済問題、自然災害といった時事的な出来事を標的にすることもあります。こうしたeメールは、助けを求めるふりをして個人を説得し、特定の情報や金銭的なサポートを提供するよう仕向けます。 |
| スミッシング | フィッシング攻撃の一種であるスミッシングは、ショートメッセージサービス（SMS）やテキストメッセージを利用して不正なリンクやWebサイトを送信し、ユーザーを誘導して認証情報を入力させる手口です。例えば、携帯電話会社から送られてきたように見えるテキストメッセージで、もっともらしい理由を付けて記載のリンクからアカウントにログインするよう要求してくる、といったものが挙げられます。このリンクをクリックすると、攻撃者が運営する悪意のあるサイトに誘導され、認証情報が盗まれます。 |
| ビッシング | 音声通信を利用したもう1つのフィッシング形態であるビッシングは、電話通信を悪用するものです。ビッシングでは、多くの場合、被害者の銀行になりすまして特定の番号に電話をかけるよう要求し、個人識別番号（PIN）やパスワードを聞き出そうとします。ビッシング攻撃では、VoIP（Voice over Internet Protocol）ソリューションが操作される可能性があります。たとえば、発信者番号通知は簡単に偽装されてしまいます。被害者は電話サービスのセキュリティを信頼する傾向があるため、詐欺を疑いません。 |
| スピアフィッシング攻撃 | フィッシングは通常、多数の個人にスパムメールを送信し、誰かが引っかかるのを待つという手口です。こうした働きかけは、相手を誘導して要求された情報を返信させることを目的としています。一方、スピアフィッシング攻撃は、より標的を絞ったアプローチです。不正なeメールは、被害者についてより詳細な調査を行ったうえで、標的となる少数の個人に合わせてカスタマイズされています。こうした攻撃は、攻撃者にとっては時間がかかるものですが、成功する可能性も高い場合が多くあります。 |
| スケアウェア | これはマルウェアの一種で、脅威を認識させ、それによってユーザーに生じる不安、恐怖、衝撃を利用します。スケアウェアは、多くの場合、ポップアップ広告やスパムeメールを利用してユーザーを騙し、マルウェアをダウンロードさせたり、感染したWebサイトにアクセスさせたりします。 |
| おとり行為 | こうしたスキームは、悪意のあるWebサイト、ソーシャルネットワーキングサイト、ピアツーピアサイトなどで見られ、ユーザーを魅力的なもので誘い込むという手口が使われます。新作の映画や音楽、入手困難な製品などがこれに該当します。被害者はその罠にかかり、悪意のあるリンクやWebサイトをクリックしたり、製品を購入しようとしたりします。 |
| プリテキスティング | プリテキスティング型のソーシャルエンジニアリング攻撃では、説得力のある話で被害者を騙し、助けを提供させたり、要求された情報に応じさせたりします。こうした詐欺は、助けを求める悲痛な叫びである場合があり、拘束された友人やさらに悪い状況にある友人を救うためと称して金銭を要求してくることがよくあります。人道支援活動、慈善活動、資金調達、自然災害への援助なども含まれます。こうしたメッセージは一般的に、ユーザーが信頼する送信元から送られてきたものであり、信頼できる背景を持つように見えます。雇用主を装った人物から送られてくることもあります。プリテキスティング詐欺では、当選したと偽り、賞金を渡すために銀行口座の詳細を提供するよう要求してくることがあります。こうした手口は非常に巧妙で、メッセージは正しいロゴまで使って、銀行や金融機関から送られてきたかのように見せかけます。プリテキスティングの手口では、埋め込まれたリンクをクリックして要求された情報を提供することで修正する必要がある問題が発生した、などと通知してきます。これにより、攻撃者はユーザーのPII、ひいてはアカウントやデバイスにアクセスできるようになります。 |
| 共連れ | 「ピギーバッキング」とも呼ばれるこのソーシャルエンジニアリング攻撃は、適切な認証やクリアランスを持たない人物が、正規のアクセス権を持つ人物の後についていくことで発生します。これにより、攻撃者はスマートカードやトークンで保護されている物理的な場所に、それを持っている人のすぐ後ろについて入るだけでアクセスできてしまいます。 |
| 見返り | これは「何かと何かを交換すること」を意味します。見返り型攻撃では、攻撃者は見返りとして何かを提供することで被害者を操り、機密情報を引き出します。これは一般的に、被害者が要求された機密情報を先に明かせば、攻撃者がサービスや利益を提供すると約束する、という形で行われます。 |
ソーシャルエンジニアリング攻撃を防ぐにはどうすればよいですか？
ソーシャルエンジニアリング攻撃を防ぐには、詐欺師が使用する戦術を認識することが役立ちます。従業員は、一般的なサイバー攻撃とその開始方法を理解するために、サイバーセキュリティトレーニングを受ける必要があります。
ほぼすべてのサイバー攻撃（99％）は、そのきっかけとして人間の入力を利用していることを覚えておくことが重要です。フィッシングやEメール詐欺は、ソーシャルエンジニアリング攻撃を開始するための一般的な手口です。
覚えておくべきことを次に示します。
- 不審な添付ファイルは開かないでください。サイバー犯罪者は、多くの場合、電子メールの添付ファイルでマルウェアを送信します。
- 送信者のメールアドレスを注意深く確認してください。 攻撃者は正規の企業や組織になりすますのが一般的ですが、通常、メールアドレスが数文字だけ異なっています。
- 悪意のあるウェブサイトやスプーフィングされたハイパーリンクに注意してください。常に、埋め込まれたリンクをクリックするのではなく、WebサイトのURLを直接入力してください。また、ハイパーリンクにカーソルを合わせたときに、URLがテキストと一致しない場合は、スプーフィングである可能性があります。
- 時間をかける。脅威アクターは、緊急性や差し迫った脅威を主張して、ユーザーに考えずに行動させようとすることがよくあります。高圧的な販売戦術にもかかわらず、速度を落として情報を注意深く確認してください。
- スペルミス、文法の間違い、奇妙なレイアウトに注意してください。正当な企業が文法、文章構成、スペルのミスをすることはめったにありませんが、詐欺メールでは頻繁に発生します。
- 一般的な挨拶や署名に注意してください。詐欺師は多くの場合、同じメッセージで複数のアカウントに同時にスパムを送信していますが、企業または組織からの正当なメッセージは、具体的に名前で挨拶し、連絡先情報とともにメールに署名する可能性が高くなります。
- メールが正当なものかどうかわからない場合は、会社に直接メールを送信してください。疑わしいメールまたはWebサイトが提供しているものを使用する代わりに、正当であることがわかっている会社の連絡先情報を追跡してください。
- 不審なダウンロードにご注意ください。信頼できるソースから提供されたことが確実でないものは、ダウンロードしないように注意してください。ダウンロードする前に、情報技術（IT）部門にメッセージを報告して、安全性を確認することもできます。
- 一方的なメールに注意してください。質問していない質問に答えたり、要求していないサービスを提供するメールを受信した場合は、徹底的に調べてください。情報が知っていて使用している会社からのように見えても、自分で調査してください。
- 海外からのオファーは詐欺であることを知っておいてください。外国の団体からのオファーまたは請求は詐欺であり、対応しないでください。
- 個人情報を求めるメールや要求、または支援の申し出や支援の要求には応答しないでください。これらはあなたのアイデンティティやお金を盗もうとする詐欺です。
- 不審な電話やテキストメッセージにご注意ください。リンクをクリックしたり、これらの番号に電話をかけたりしないでください。個人情報を開示する前に、個人または組織のアイデンティティを確認してください。
デバイスとネットワークをどのように保護しますか？
さらに、お使いのデバイスとネットワークを保護するように注意してください。ウイルス対策ソフト、ファイアウォール、スパムフィルターを使用し、すべてのサイバーセキュリティ機能を最新の状態に保ちます。多要素認証（MFA）を使用すると、ユーザー名とパスワード以外に追加の認証要素が必要になるため、アカウントのハッキングが困難になり、保護を強化できます。
eメールやセキュリティで保護されていないWebサイトで、機密情報を開示しないでください。URLが単なる「Hypertext Transfer Protocol（HTTP）」ではなく、「Hypertext Transfer Protocol Secure（HTTPS）」になっているか確認してください。HTTPSは、より高いレベルのセキュリティを示します。
ソーシャルエンジニアリング攻撃が疑われる場合の対処法とは？
ソーシャルエンジニアリング攻撃の被害に遭ったと思われる場合は、所属する組織に直ちに報告してください。金融機関のアカウントが侵害されたと思われる場合は、直ちに金融機関に報告してください。不正アクセスの可能性があるアカウントのパスワードを変更してください。必要に応じて、警察に被害届を提出し、連邦取引委員会（FTC）に個人情報の不正利用を報告してください。
よくある質問（FAQ）
ソーシャルエンジニアリングが他のサイバー攻撃と異なる点は何ですか？
ソフトウェアやハードウェアの脆弱性を直接標的とする攻撃とは異なり、ソーシャルエンジニアリングは人間の心理を悪用します。攻撃者は、信頼や緊急性といった人間の自然な本能を巧みに操り、個人を説得して機密情報を自発的に開示させます。このため、人的要素が主要な攻撃対象領域となっています。
攻撃者がソーシャルエンジニアリングで用いる6つの原則とは何でしょうか？
ソーシャルエンジニアリングの手口は、権威（権力者になりすます）、脅迫（脅しを用いる）、希少性（需要を創出する）、緊急性（迅速な行動を迫る）、コンセンサス（社会的証明を利用する）、親近感（既知の情報源への信頼を悪用する）という6つの心理的原則に基づいています。
フィッシングメールが詐欺かどうかを見分けるには、どうすればよいですか？
警告のサインには、正規のドメインとわずかに異なる送信者のeメールアドレス、汎用的な挨拶文、スペルミスや文法の間違い、表示されているテキストと一致しないURLが埋め込まれたリンク、個人情報や緊急の対応を求める要求などが含まれます。
フィッシング、スミッシング、ビッシングの違いとは？
3つともチャネルが異なるフィッシングの亜種です。フィッシングは不正なeメールやWebサイトを、スミッシングは悪意のあるリンクを含むSMSテキストメッセージを、ビッシングはボイスコールや電話システム（多くの場合、発信者番号のなりすまし）をそれぞれ利用して、被害者を騙してPINやパスワードを明かさせようとします。
ソーシャルエンジニアリング攻撃の標的になったと思われる場合は、どうすればよいですか？
インシデントをただちに所属組織に報告してください。金融機関のアカウントが侵害された可能性がある場合は、直ちに金融機関に連絡してください。漏洩した可能性のあるパスワードを変更し、必要に応じて警察に被害届を提出するとともに、連邦取引委員会（FTC）に個人情報の盗難を報告してください。
多要素認証はソーシャルエンジニアリングからの保護にどのように役立ちますか？
多要素認証（MFA）は、ユーザー名とパスワードに加えて追加の認証要素を要求することで、セキュリティレイヤーを一層強化します。これにより、たとえ攻撃者がソーシャルエンジニアリング攻撃によって認証情報を入手したとしても、アカウントにアクセスすることは著しく困難になります。
参考文献
2021 Cyber Security Statistics The Ultimate List of Stats, Data & Trends。PurpleSec.
フィッシング活動の傾向レポート。（2022年2月）。APWG。
サイバーセキュリティ：Eメール攻撃の99％はユーザーのリンククリックが原因。（2019年9月、ZDNet。
中小企業向けのサイバーセキュリティ。連邦取引委員会（FTC）。
